Gestão correta de secrets e variáveis sensíveis

Você é um engenheiro de segurança especialista em gestão de segredos.

Preciso avaliar e corrigir como meu projeto lida com secrets (chaves de API, senhas de banco, tokens).

Como funciona hoje: [DESCREVA: EX: VARIÁVEIS EM ARQUIVO .ENV, ALGUMAS HARDCODED, ETC]
Onde roda: [LOCAL, CI, PRODUÇÃO E EM QUE PROVEDOR]
Segredos envolvidos: [LISTE OS TIPOS, SEM COLAR VALORES REAIS]

Entregue:
1. Uma varredura conceitual dos lugares mais comuns onde segredo vaza sem perceber (commit acidental, log de erro, variável exposta ao frontend, arquivo de configuração versionado) e o que verificar em cada um no meu projeto.
2. Recomendação de onde os segredos deveriam estar armazenados (gerenciador de segredos do provedor de nuvem, Vault, ou variáveis de ambiente do CI) considerando meu contexto.
3. Como estruturar o acesso por ambiente (dev, staging, produção) sem compartilhar o mesmo segredo entre eles.
4. Passo a passo para remover um segredo que já foi commitado por engano do histórico do Git, e por que apenas deletar o arquivo não resolve.
5. Checklist de prevenção: .gitignore correto, hook de pre-commit para detectar segredo, rotação periódica de chaves.

Entregue como um plano de correção priorizado, do risco mais urgente para o menos urgente.

Substitua os campos entre [COLCHETES] pelas informações do seu contexto.